To-faktor og multi-faktor autentisering (2FA/MFA)

FoxIDs støtter både en enkel to-faktor modus og en avansert multi-faktor modus i innloggingsautentiseringsmetoden.

• To-faktor modus: Advanced multi-factor er deaktivert (standard).
• Multi-faktor modus: Advanced multi-factor er aktivert.

Bruk to-faktor modus når én ekstra faktor er nok. Bruk multi-faktor modus når du trenger en ordnet MFA-kjede eller vil bruke autentiseringsmetoder som MFA-trinn.

Begreper

To-faktor autentisering (2FA) og multi-faktor autentisering (MFA) legger begge til ett eller flere verifiseringstrinn etter den primære innloggingen.

• 2FA: en primær innlogging pluss én ekstra faktor.
• MFA: en primær innlogging pluss én eller flere ordnede ekstra faktorer.

Støttede faktorer

FoxIDs støtter innebygde faktorer og autentiseringsmetoder som MFA-elementer.

Faktor	Type	AMR-verdi
SMS-kode	Innebygd	sms
E-postkode	Innebygd	email
Authenticator app-kode	Innebygd	otp
Recovery code	Innebygd (authenticator app)	otp
Autentiseringsmetode (OIDC, SAML 2.0, TrackLink)	Konfigurerbart element	Konfigurert AMR eller metode-/profilnavn hvis feltet er tomt

Du kan bruke hvilken som helst kompatibel authenticator app, for eksempel Google Authenticator, Microsoft Authenticator, Authy og andre TOTP-apper.

Når MFA kreves

MFA utløses når ett av følgende gjelder:

• Brukeren har Require multi-factor (2FA/MFA) aktivert.
• Innloggingsautentiseringsmetoden har Require multi-factor (2FA/MFA) aktivert.
• Applikasjonen som kaller, ber om MFA med ACR urn:foxids:mfa.

MFA-krav gjelder i begge modi. Hvis Advanced multi-factor er deaktivert, oppfylles kravet av den enkle to-faktor flyten.

Hvis spesifikke ACR-verdier blir bedt om sammen med urn:foxids:mfa, er det bare de matchende ACR-verdiene som kreves.

To-faktor modus (Advanced multi-factor er deaktivert)

I denne modusen konfigureres innebygde to-faktor alternativer direkte:

• Authenticator app
• SMS
• E-post

Slik konfigurerer du to-faktor modus:

1. Åpne fanen Authentication.
2. Klikk på innloggingsautentiseringsmetoden Login for å redigere den.
3. Klikk Show advanced.
4. Gå til seksjonen Multi-factor.
5. La Advanced multi-factor være deaktivert og konfigurer alternativene for Authenticator app, SMS og E-post.

Navnet på authenticator appen som vises til brukerne kan konfigureres. Som standard brukes tenantnavnet.

SMS- og e-postfaktorer krever brukerens kontaktinformasjon. Dette kan angis som brukeridentifikatorer eller som claims (phone_number og email).

Valg av to-faktor type

I to-faktor modus foretrekker FoxIDs en allerede registrert authenticator app. Hvis ingen authenticator app er registrert, foretrekkes SMS fremfor e-post når begge er tilgjengelige.

SMS to-faktor aktivert og brukeren har telefonnummer	E-post to-faktor aktivert og brukeren har e-post	Brukeren har registrert authenticator app	Mulige to-faktor typer	Valgt to-faktor type
false	false	false	Oppsett av authenticator app	Oppsett av authenticator app
false	false	true	Authenticator app	Authenticator app
true	false	false	SMS med valgfritt oppsett av authenticator app etter SMS-verifisering	SMS
true	false	true	SMS og authenticator app	Authenticator app
false	true	false	E-post med valgfritt oppsett av authenticator app etter e-postverifisering	E-post
false	true	true	E-post og authenticator app	Authenticator app
true	true	false	SMS og e-post med valgfritt oppsett av authenticator app etter SMS- eller e-postverifisering	SMS
true	true	true	SMS, e-post og authenticator app	Authenticator app

Varsle et API når en authenticator app registreres

Innloggingsautentiseringsmetoden kan varsle backenden din umiddelbart etter at en bruker registrerer en ny authenticator app. Varslingen er valgfri og gjelder bare nye registreringer, ikke senere innlogginger med authenticator appen.

Slik konfigurerer du varslingen:

1. Åpne fanen Authentication.
2. Klikk på autentiseringsmetoden Login for å redigere den.
3. Klikk på Show advanced.
4. Gå til delen Multi-factor.
5. I tofaktormodus aktiverer du Notify an API when an authenticator app is registered under de innebygde faktoralternativene. I avansert multifaktormodus aktiverer du det i Authenticator app MFA-elementet.
6. Konfigurer API-ets basis-URL og API-hemmelighet.

FoxIDs lagrer authenticator app-registreringen lokalt før API-et kalles og skriver sporingen Authenticator app registration saved locally; external notification pending. API-et kalles deretter synkront. Innloggingen fortsetter bare hvis API-et returnerer HTTP-status 200 OK. Hvis kallet mislykkes eller returnerer en annen status, fjerner FoxIDs den nye registreringen og viser feilsiden. Eksisterende registreringer endres ikke.

Den vellykkede registreringen skrives til auditloggen etter at API-et har returnert 200 OK. Hvis varslingen er deaktivert, skrives auditposten umiddelbart etter at den lokale registreringen er lagret.

Request til varslings-API-et

Hvis den konfigurerte basis-URL-en er https://backend.example/authenticator, sender FoxIDs en HTTP POST-request til:

https://backend.example/authenticator/notification

FoxIDs Cloud kaller API-et ditt fra IP 57.128.60.142.

IP-adresse(r) kan endres eller utvides.

Requesten bruker HTTP Basic authentication:

• Brukernavn: authenticator_app
• Passord: den konfigurerte API-hemmeligheten

JSON-requesten inneholder:

{
  "type": "registered",
  "registration_id": "7a772286-76a2-4f17-a0f8-4e927bb1772d",
  "user_id": "e061ed17-7b44-48a8-b224-ecdb800ed5cc",
  "email": "user@example.com",
  "phone": "+4512345678",
  "username": "user@example.com"
}

type identifiserer varslingen. Den støttede typen registered betyr at en ny authenticator app er registrert. registration_id er den permanente unike ID-en for den nye registreringen. API-et ditt kan bruke den som en idempotensnøkkel. user_id er brukerens stabile tekniske FoxIDs-ID. email, phone og username inkluderes når de har en verdi. Authenticator app-hemmeligheten og gjenopprettingskoden sendes aldri.

API-et bør godta varslingen og returnere 200 OK så snart det nødvendige synkrone arbeidet er fullført. Eventuell ytterligere køhåndtering eller distribusjon til andre deployments er backendens ansvar.

Administrer authenticator-appregistreringer

Administratorer kan liste og fjerne en brukers authenticator-appregistreringer under Internal Users → rediger brukeren → Advanced → Two-factor. Registreringer identifiseres med permanent registrerings-ID og, for nye registreringer, registreringstidspunktet. Brukeren blir ikke bedt om et visningsnavn under registreringen.

For å liste, lese, opprette, oppdatere, slette eller synkronisere registreringer via Control API, se Control API - brukere og authenticator-apper. Veiledningen dokumenterer endpoints, request-ressursen, sikkerhetshensyn, feilresponses og notification-oppførsel på ett sted.

Multi-faktor modus (Advanced multi-factor er aktivert)

Når Advanced multi-factor er aktivert, konfigureres MFA som en ordnet liste med opptil 5 MFA-elementer.

Bare ett Authenticator app MFA-element kan konfigureres. En bruker kan ha opptil fem authenticator app-registreringer for elementet. Alle registreringene er alternativer for å fullføre det samme MFA-elementet: FoxIDs kontrollerer den innsendte koden mot de registrerte authenticator appene og godtar det første treffet. Registreringsprompten under innlogging oppretter bare en registrering når brukeren ikke har noen; den legger ikke til en ny registrering når det allerede finnes en. Navnet på authenticator appen og det valgfrie API-et for registreringsvarsling konfigureres i Authenticator app MFA-elementet.

Slik konfigurerer du multi-faktor modus:

1. Åpne fanen Authentication.
2. Klikk på innloggingsautentiseringsmetoden Login for å redigere den.
3. Klikk Show advanced.
4. Gå til seksjonen Multi-factor.
5. Aktiver Advanced multi-factor og konfigurer de ordnede MFA-elementene.

Støttede MFA-elementtyper:

• Innebygde:
  • SMS
  • E-post
  • Authenticator app
• Autentiseringsmetode:
  • OpenID Connect
  • SAML 2.0
  • TrackLink

Konfigurasjonsregler:

• Innebygde elementtyper kan bare konfigureres én gang hver.
• Elementer av typen autentiseringsmetode kan konfigureres flere ganger, for eksempel med ulike profiler.
• Elementene kjøres i listeorden.
• Du kan legge til, fjerne og omorganisere elementer.

AMR- og ACR-atferd for MFA-elementer

Hvert fullført MFA-element bidrar med AMR-claimverdier til sesjonen.

• Innebygde AMR-verdier er faste:
  • SMS: sms
  • E-post: email
  • Authenticator app og recovery code: otp
• MFA-element av typen autentiseringsmetode:
  • En valgfri egendefinert AMR kan konfigureres.
  • Hvis AMR er tom, brukes autentiseringsmetodens navn eller profilnavn.

ACR-verdier det bes om matches mot MFA-elementenes AMR-verdier i følgende format:

• urn:foxids:<amr>
• Eksempel: urn:foxids:link

urn:foxids:mfa er det generelle MFA-kravet, og FoxIDs legger til AMR mfa når MFA er fullført.

Valg og kjeding av MFA-elementer

• Hvis spesifikke ACR-verdier bes om, må ett av de matchende MFA-elementene fullføres.
• Hvis bare generell MFA bes om, kan hvilket som helst tilgjengelig konfigurert MFA-element oppfylle kravet.
• Hvis mer enn ett kvalifisert MFA-element finnes og FoxIDs ikke kan velge automatisk, vises et valggrensesnitt.
• Hvis en authenticator app er konfigurert og allerede registrert, foretrekker FoxIDs den for generelle MFA-forespørsler.
• Hvis oppsett av authenticator app velges og ennå ikke er registrert, kan oppsettsflyten fortsette etter et valgt SMS-, e-post- eller autentiseringsmetodetrinn.
• Hvis bare authenticator app er konfigurert, kan oppsett starte direkte etter innlogging med første faktor.

MFA-side for autentiseringsmetode med valgfri registrering av authenticator app og mulighet til å velge et annet MFA-element.

MFA-side for SMS med valgfri registrering av authenticator app og mulighet til å velge et annet MFA-element.

MFA-side for e-post der authenticator appen settes opp, med mulighet til å velge et annet MFA-element.

MFA-side for authenticator app med mulighet til å velge et annet MFA-element.

Autentiseringsmetoder brukt som MFA-elementer

Autentiseringsmetoder (OIDC, SAML 2.0, TrackLink) kan brukes som MFA-elementer med følgende regler:

• MFA-spesifikke ACR-verdier videresendes ikke til forespørselen til MFA-autentiseringsmetoden.
• Svaret fra autentiseringsmetoden må inneholde den påkrevde AMR-verdien for det valgte MFA-elementet.
• AMR-verdien legges normalt til i claim transform hvis den returnerte identiteten samsvarer med forventet identitet. Se eksemplet på claim transform.
• Hvis den påkrevde AMR-verdien mangler, feiler innloggingen.
• Etter vellykket validering legger FoxIDs til AMR mfa i den resulterende sesjonen.

Be om MFA fra applikasjoner

Applikasjoner kan be om MFA i både OpenID Connect og SAML 2.0.

Hvis spesifikke ACR-verdier bes om, men ikke er konfigurert på MFA-elementer i den valgte innloggingsautentiseringsmetoden, feiler autentiseringen.

OpenID Connect

Bruk acr_values:

• Generell MFA: acr_values=urn:foxids:mfa
• Generell MFA og spesifikk metode: acr_values=urn:foxids:mfa urn:foxids:link

SAML 2.0

Bruk RequestedAuthnContext.AuthnContextClassRef:

• Generell MFA: inkluder urn:foxids:mfa
• Generell MFA og spesifikk metode: inkluder urn:foxids:mfa og spesifikke verdier som urn:foxids:link

Sesjonsatferd

FoxIDs validerer påkrevde AMR-verdier mot den gjeldende innloggingssesjonen.

• Ny innlogging: sesjonen opprettes når alle krav er oppfylt.
• Step-up login: en eksisterende sesjon oppdateres når alle ytterligere MFA-krav er oppfylt.
• Gjenbruk av sesjon: hvis sesjonen allerede oppfyller de påkrevde AMR-verdiene, gjenbruker FoxIDs sesjonen og ber ikke om innlogging på nytt.

Feilsøking

Vanlige årsaker til MFA-feil:

• ACR-verdier det bes om er ikke konfigurert som MFA-elementer i innloggingsautentiseringsmetoden.
• En autentiseringsmetode som brukes som MFA returnerer ikke den påkrevde AMR-verdien.
• Ingen konfigurert MFA-element er for øyeblikket tilgjengelig for brukeren, for eksempel fordi telefon- eller e-postdata mangler for SMS eller e-post.

Relatert dokumentasjon

• Pålogging og identifisering av hjemmerealm
• Interne brukere
• Autentiseringsmetoder
• Kravtransformasjoner og kravoppgaver
• Utvidet brukergrensesnitt